Warum die Risiken der „Schatten-KI“ mit Angst beginnen (und Verbote sie noch verschlimmern)

Blog

Neuigkeiten

„Shadow AI“ ist eine Angstreaktion, und ein Verbot verschlimmert das Problem nur noch

Verfasst von

Nicholas Thomson

Veröffentlicht am:

12. Mai 2026

Dieser Beitrag basiert auf Mackenzies Gespräch mit Noora Ahmed-Moshe im Podcast „The Secure Disclosure“. Hören Sie sich die gesamte Folge an.

Ein Unternehmen verlor eine Million Dollar, weil jemand während eines Telefonats im Rahmen eines Rechtsstreits ein KI-Protokollierungsprogramm einsetzte. Wie die Verhaltenswissenschaftlerin Noora Ahmed-Moshe im Podcast erklärt, fasste das Tool ein vertrauliches Gespräch zusammen und übermittelte es der gegnerischen Partei, die es nutzte, um einen Vergleich zu ihren Bedingungen durchzusetzen. Rechtsexperten warnen, dass KI-generierte Protokolle mittlerweile regelmäßig Gegenstand der Beweisaufnahme in Rechtsstreitigkeiten sind.

Notizenschreiber sind nur ein Beispiel. Mitarbeiter nutzen KI auf vielfältigere Weise, als ihren Unternehmen bewusst ist, und in Wirklichkeit sind sie dazu gezwungen. Laut Ahmed-Moshe handelt es sich dabei um eine Angstreaktion. „Es herrscht eine allgemeine Panik, dass KI kommen und einem den Job wegnehmen wird.“ Über 95 % der Arbeitgeber möchten mittlerweile Mitarbeiter mit KI-Kenntnissen einstellen. Mitarbeiter haben Angst, bei den Tools den Anschluss zu verlieren, weil sie den Arbeitsmarkt richtig einschätzen.

Genau diese Angst treibt die „Schatten-KI“ an. Mitarbeiter greifen auf nicht genehmigte Tools zurück, weil sich die Technologie schneller entwickelt, als es jeder Genehmigungszyklus nachverfolgen kann. Bis Ihre IT-Abteilung einen Proof of Concept durchgeführt und den Zugriff gewährt hat, haben Ihre Mitarbeiter bereits von einem Kollegen von einer besseren Lösung gehört. Wenn Sie ihnen ein genehmigtes Tool zur Verfügung stellen, das nicht zu ihrem Arbeitsablauf passt, und dann alles andere blockieren, haben Sie sie gerade dazu gebracht, die Tools, die sie tatsächlich nutzen, zu verbergen.

Und genau dort, wo man sich versteckt, beginnt der Riss.

Panik ist jetzt deine Angriffsfläche

Studien zeigen, dass mittlerweile mehr als die Hälfte der Beschäftigten am Arbeitsplatz nicht genehmigte KI-Tools nutzt. Mehr als die Hälfte davon speist sensible Unternehmensdaten in Tools ein, die ihr Unternehmen weder verwaltet noch überwacht oder von denen es gar nichts weiß. Das bedeutet, dass sensible Materialien wie Rechtsdokumente, Kundendaten und interne Strategien in ungeprüfte Modelle gelangen.

Selbst seriöse Tools in kostenlosen Tarifen nutzen diese Daten möglicherweise zum Trainieren von Modellen. Ein weniger seriöses Tool könnte sogar direkt gehackt werden. Und wie Ahmed-Moshe betonte: „Ich glaube nicht, dass sich die Risiken bisher wirklich konkretisiert haben, weil das Ganze noch so neu ist.“ Die Auswirkungen nehmen weiter zu, und wir haben bisher erst die ersten Anzeichen gesehen.

Ein Verbot bringt nichts

Der Drang, jegliche nicht genehmigte Nutzung von KI zu verbieten, ist verständlich. Samsung hat dies bei ChatGPT getan. Ein Sicherheitsberater berichtete auf Reddit von einem Kunden, der dasselbe forderte, dann aber herausfand, dass dessen CEO ChatGPT seit sechs Monaten über ein privates Konto genutzt hatte, um Präsentationen für den Vorstand zu erstellen.

Ein Verbot der Tools, auf die sich Ihre Mitarbeiter verlassen, wird sie nicht davon abhalten, diese weiterhin zu nutzen. Ahmed-Moshe drückt es so aus: „Wenn Sie versuchen, KI-Tools in Ihrem Unternehmen zu verbieten, sehe ich nicht, wie Sie als Unternehmen noch erfolgreich sein können.“ KI-Tools bergen zwar echte Sicherheitsrisiken, sind aber ein wesentlicher Bestandteil unserer Arbeitsweise. Ein Verbot von KI-Tools ist so, als würde man Teenagern verbieten, ihre Handys zu benutzen. Sie werden es einfach dort tun, wo Sie es nicht sehen können.

Das haben wir schon einmal erlebt. Schatten-IT gibt es schon seit Jahren, und BYOD entstand, als Unternehmen erkannten, dass das Sperren privater Geräte die Produktivität tatsächlich beeinträchtigen würde. Sie brauchten eine Möglichkeit, diese Geräte zu sichern. Bei Schatten-KI handelt es sich um dasselbe Problem, nur mit noch höheren Risiken.

So passen Sie Ihre Sicherheitsstrategie an, um Schatten-KI zu berücksichtigen

Die Unternehmen, die diese Lücke schließen, beseitigen die Umstände, die dazu führen, dass Mitarbeiter ihre Tool-Nutzung überhaupt erst verheimlichen wollen.

Was Sie tatsächlich tun können:

Verschaffen Sie sich zunächst einen Überblick: Prüfen Sie, welche Tools verwendet werden, bevor Sie irgendetwas blockieren. Aikido überwacht jedes Entwicklergerät auf Bedrohungen, die außerhalb Ihrer üblichen Angriffsfläche liegen.
Erkennen Sie die Lücken im Arbeitsablauf: Wenn Mitarbeiter nicht genehmigte Tools verwenden, hat das einen Grund. Finden Sie diesen Grund heraus und schließen Sie die Lücke mit einer Lösung, die tatsächlich funktioniert.
Schaffen Sie psychologische Sicherheit: Ein offener Dialog ist wirksamer als Bestrafung, wenn es darum geht, Verhaltensweisen zu ändern. Sicherheitsteams, die zugänglich sind, genießen eine Akzeptanz, die geschlossene Kulturen niemals erreichen werden.
Handeln Sie schneller als der Genehmigungszyklus. Der dreimonatige Prozess vom Proof-of-Concept bis zur Bereitstellung, der bei Unternehmenssoftware funktioniert hat, ist nicht mehr praktikabel, wenn sich sowohl die Bedrohungslage als auch die Tools von Monat zu Monat ändern.

„Shadow AI“ ist die neue Form des Phishing – ein Problem, das auf menschlichem Verhalten beruht und durch technische Maßnahmen zwar eingedämmt, aber niemals vollständig beseitigt werden kann. Die Panik ist die Schwachstelle. Daran muss man zuerst ansetzen.

Zuletzt aktualisiert am:

12. Mai 2026

Textlink

News abonnieren

4.7/5

Falschpositive Ergebnisse leid? 
Probieren Sie Aikido, wie 100.000 andere.

Jetzt starten

Erhalten Sie eine personalisierte Führung

Von über 100.000 Teams vertraut

Jetzt buchen

Scannen Sie Ihre App nach IDORs und realen Angriffspfaden

Von über 100.000 Teams vertraut

Scan starten

Erfahren Sie, wie KI-Penetrationstests Ihre App testen

Von über 100.000 Teams vertraut

Testen starten

Verschaffen Sie sich einen Überblick über Ihre „Shadow Attack Surface“

Von über 100.000 Teams vertraut

Probieren Sie Aikido aus

Zuverlässige CVE-Quellen in Zeiten der Kürzungen beim NIST NVD

Das NIST wird die meisten CVEs nicht mehr ergänzen. Hier erfahren Sie, was sich ändert, was nicht mehr funktioniert und wie es weitergeht.

Intel

6. April 2026

„•“

Neuigkeiten

Der Cybersecurity-Doomerismus rund um Mythos entspricht nicht dem, was wir in der Praxis beobachten

Anthropics geleaktes Mythos-Modell hat Panik vor KI-gestützten Cyberangriffen ausgelöst. Wir haben 1.000 KI-Penetrationstests durchgeführt. Die Ergebnisse deuten darauf hin, dass die Bedrohung nuancierter ist, als die Schlagzeilen behaupten.

AI Penetration Testing

19. März 2026

„•“

Neuigkeiten

Aikido von Frost & Sullivan mit dem 2026 Customer Value Leadership Award im Bereich ASPM ausgezeichnet

Frost & Sullivan hat Aikido mit dem 2026 Customer Value Leadership Award im Bereich ASPM ausgezeichnet. Wir erläutern, was die Anerkennungskriterien darüber offenbaren, wie der AppSec-Markt reift.

Selbstsichernde Software

Ankündigungen

AppSec

Sicherheit jetzt implementieren

Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.

Jetzt scannen

Ohne Kreditkarte

Demo buchen

Keine Kreditkarte erforderlich | Scan-Ergebnisse in 32 Sek.